Microsoft 365 2026年3月2日

【要注意】Microsoft 365でサインインブロックするとTeamsプライベートチャネルから強制退出される問題と対策

#Microsoft Teams #Entra ID #サインインブロック #プライベートチャネル #ひとり情シス #PowerShell

退職者や休職者のアカウント管理で「サインインのブロック」を使っていませんか？実はこの操作、Teamsのプライベートチャネルに深刻な影響を及ぼします。本記事では、多くの情シス担当者が見落としがちなこの仕様と、現場で使える具体的な対策を解説します。

こんなことが起きていませんか？

「休職していた社員が復帰したので、サインインブロックを解除したのに、Teamsのプライベートチャネルに入れなくなっている」

「退職者のアカウントをブロックしたら、プライベートチャネルのメンバー一覧からも消えてしまった」

これらはバグではなく、Microsoftの**仕様（by design）**です。

サインインブロック時にTeamsで何が起きるのか

Microsoft 365管理センターやEntra ID（旧Azure AD）でユーザーの「サインインをブロック」すると、裏側では以下の処理が自動的に実行されます。

時系列で見る影響

おおむね以下のタイムラインで処理が進みます（環境により多少前後します）。

サインインをブロック（管理者が操作）
数時間以内 — Teamsのバックグラウンド処理がアカウントの無効化を検知
自動的にチームから削除 — 所属していたすべてのチーム（通常のチーム、組織全体のチーム）からメンバーシップが削除される
プライベートチャネルからも削除 — チームからの削除に連動して、そのチーム内のすべてのプライベートチャネルのメンバーシップも削除される

ここまでは「退職者だからメンバーから消えて当然」と思うかもしれません。問題はこの後です。

アカウント再有効化後の挙動（ここが落とし穴）

休職者の復帰などでサインインブロックを解除した場合、復元の挙動は対象によって異なります。

通常のチームは24〜48時間程度で自動的に復元されます。組織全体のチームも自動復元されますが、数日〜1週間以上の遅延が生じることがあります。

しかし、プライベートチャネルのメンバーシップは自動では復元されません。 プライベートチャネルの所有者が手動で再追加する必要があります。

これが「プライベートチャネルのメンバー一覧に表示されない」という現象の正体です。

なぜプライベートチャネルだけ復元されないのか

プライベートチャネルは通常のチームとは異なるアーキテクチャで管理されています。

プライベートチャネルごとに独立したSharePointサイトが作成され、メンバーシップもチーム本体とは別のロスターで管理されます。チームへの再追加処理は、プライベートチャネルのロスターまでは面倒を見てくれないのです。

Microsoftの公式ドキュメントにも「チームメンバーがチームから離れるか削除された場合、そのユーザーはチーム内のすべてのプライベートチャネルから削除されます。ユーザーがチームに再び追加された場合、チームのプライベートチャネルに再度追加する必要があります」と明記されています。

実務で困るケース

ケース1：休職者の復帰

産休・育休・病気休職などでアカウントをブロックし、復帰時に解除するという運用は一般的です。しかし復帰後に「あれ、前に入っていたチャネルが見えない」と問い合わせが来ます。休職期間が長いほど、本人もどのプライベートチャネルに入っていたか覚えていません。

ケース2：M&A後のIT統合（PMI）

テナント統合の過程で一時的にアカウントを無効化するケースがあります。統合完了後にアカウントを再有効化しても、プライベートチャネルのメンバーシップは失われたままです。

ケース3：セキュリティインシデント対応

アカウント侵害の疑いでサインインを緊急ブロックし、調査後に解除した場合も同様の影響を受けます。

対策：5つのアプローチ

対策1：サインインブロック前にメンバーシップを記録する（推奨）

サインインブロックをかける前に、対象ユーザーのプライベートチャネルメンバーシップをPowerShellで記録しておきます。

# Microsoft Teamsモジュールのインストール（初回のみ）
Install-Module -Name MicrosoftTeams

# 接続
Connect-MicrosoftTeams

# 対象ユーザーのUPN
$userUPN = "user@example.com"

# 所属チームの取得
$teams = Get-Team -User $userUPN

# 各チームのプライベートチャネルメンバーシップを確認
foreach ($team in $teams) {
    $privateChannels = Get-TeamChannel -GroupId $team.GroupId -MembershipType Private
    foreach ($channel in $privateChannels) {
        $members = Get-TeamChannelUser -GroupId $team.GroupId -DisplayName $channel.DisplayName
        $isMember = $members | Where-Object { $_.User -eq $userUPN }
        if ($isMember) {
            Write-Output "チーム: $($team.DisplayName) / チャネル: $($channel.DisplayName) / 役割: $($isMember.Role)"
        }
    }
}

この結果をCSVやExcelに保存しておけば、復帰時にスムーズに再追加できます。

対策2：条件付きアクセスポリシーでブロックする（アカウントを無効化しない）

Entra IDの条件付きアクセスポリシーを使って「すべてのクラウドアプリへのアクセスをブロック」するポリシーを特定ユーザーに適用する方法です。

この方法のメリットは、アカウント自体は有効なままなので、Teamsのバックグラウンド処理によるメンバーシップ削除がトリガーされない点です。

ただし、Entra ID P1以上のライセンスが必要です。

対策3：パスワードリセットによる事実上のブロック

ライセンスの制約で条件付きアクセスが使えない場合の代替手段です。

パスワードを十分に長いランダム文字列にリセット
「ユーザーは次回サインイン時にパスワードを変更する必要がある」をオフにする
「ユーザーはパスワードを変更できない」をオンにする（PowerShellで設定）

これによりアカウントは有効なまま、事実上サインインできない状態にできます。Teamsのメンバーシップも維持されます。

注意点として、アカウント復帰時にパスワード変更を強制する運用を忘れないようにしてください。

対策4：監査ログから事後的に復元する

対策1を実施し忘れた場合の救済策です。Microsoft PurviewやMicrosoft 365監査ログで「MemberRemoved」イベントを検索することで、どのプライベートチャネルから削除されたかを特定できます。

Microsoft 365管理センター → コンプライアンス → 監査から検索できます。ただし、監査ログの保持期間（既定では180日、E5で1年）に注意してください。

対策5：退職・休職フローに手順を組み込む

最も重要なのは、組織の退職・休職時のIT対応フローに「プライベートチャネルメンバーシップの記録」を標準手順として組み込むことです。

退職・休職対応チェックリストに以下の項目を追加しましょう。

共有メールボックスへの転送設定
OneDrive/SharePointのアクセス権委任
Teamsプライベートチャネルメンバーシップの記録 ← これを追加
ライセンスの確認
サインインのブロック

まとめ

Microsoft 365のサインインブロックは、セキュリティ上必要な操作ですが、Teamsのプライベートチャネルに対しては「不可逆的な影響」を与えます。特にひとり情シスの環境では、こうした仕様を把握しておかないと、復帰時のトラブル対応に追われることになります。

ポイントを整理すると、サインインブロックによってプライベートチャネルからは自動削除される一方、ブロック解除後も自動復元はされません。事前にPowerShellでメンバーシップを記録しておくのが最善策です。条件付きアクセスやパスワードリセットなど、アカウントを無効化しない代替手段も検討すべきでしょう。

この仕様はMicrosoftの公式ドキュメントにも記載されていますが、見落としやすいポイントです。退職・休職者の対応フローを見直す際に、ぜひ参考にしてください。

参考リンク：